Claude Security met une équipe d'agents au travail dans votre session Claude Code : cartographier l'architecture, construire un modèle de menaces, chasser les failles dans les composants et vérifier indépendamment chaque constat avant qu'il n'atteigne le rapport. En option, il transforme les constats confirmés en fichiers de patch que vous relisez et appliquez. C'est la version en session du produit hébergé Claude Security d'Anthropic.
Ce qu'il fait
Où Claude Security s'exécute et ce qu'il ajoute, d'après sa documentation
Scan codebase : tout le dépôt ou une partie délimitée, à un niveau d'effort choisi
Scan changes : un diff de branche, un diff de PR ou un commit
Suggest patches : transforme les constats d'un rapport en fichiers F.patch, jamais appliqués automatiquement
Écrit CLAUDE-SECURITY-RESULTS.md, .jsonl et .sarif (SARIF 2.1.0) ainsi qu'un tampon de révision
Des vérificateurs tentent de réfuter chaque constat ; les faux positifs sont écartés
Quand l'utiliser
Bonne adéquation
Analyser vos propres dépôts à la recherche de vulnérabilités avant une release
Relire un diff de feature branch ou de PR pour y chercher des failles de sécurité
Produire du SARIF pour le code scanning de GitHub ou des visionneuses d'IDE
Pas pour
Dépôts tiers non fiables, sauf si toute la session s'exécute dans sandbox-runtime
Remplacer le SAST, l'analyse des dépendances ou la revue de code (le README indique qu'il les complète)
Comment installer Claude Security
Il vous faut : Claude Code; Python 3.9 ou plus récent dans le PATH; Un checkout git pour analyser des changements et suggérer des patches (le scan de tout le dépôt fonctionne sans); Le README recommande Claude Opus 5.5 ou Fable 5.1
Si le marketplace est introuvable : /plugin marketplace add anthropics/claude-plugins-official, puis réessayez
Exécutez /claude-security pour le menu, ou p. ex. /claude-security scan my branch at high
Autorisations et sécurité
Ce à quoi il accède
S'exécute dans votre session Claude Code avec vos permissions, lit le dépôt ouvert, n'ajoute aucune isolation propre
Écrit dans le dépôt un répertoire CLAUDE-SECURITY-/ avec un .gitignore
Les patches sont élaborés dans une copie de travail ; rien n'est appliqué, commité ni poussé à votre place
Notes de sécurité des mainteneurs
Le .git/config du dépôt, les paramètres et hooks de .claude/ et CLAUDE.md s'appliquent comme dans toute session ; utilisez sandbox-runtime pour du code non fiable
Les valeurs d'identifiants sont masquées par un agent au mieux de ses capacités ; relisez les fichiers avant de les partager
Télémétrie de comptage d'usage via Claude Code ; désactivez avec DISABLE_TELEMETRY=1, DO_NOT_TRACK=1 ou CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1
Le texte du dépôt est traité comme des données, mais ce n'est pas une défense contre un dépôt hostile
Examinez la source avant de donner à un agent l'accès à des identifiants ou à des systèmes de production. Nous documentons ce que déclarent les mainteneurs ; nous n'auditons pas le code.
Limites
Les scans sont non déterministes ; deux scans du même code peuvent faire ressortir des constats différents
Un patch n'est écrit que si la revue s'en porte garante ; sinon vous obtenez une note
Les patches établis par rapport à un rapport périmé sont refusés
Outil de codage agentique d'Anthropic qui lit votre base de code, modifie des fichiers et exécute des commandes depuis le terminal, les IDE ou le navigateur.
La gratuité s'arrête à : Pas d'offre gratuite : Claude Code est inclus dans les abonnements Claude payants (Pro, Max, Team, Enterprise…
